面向工业控制系统认证和数据交互的方法、系统及终端与流程

本发明属于工业互联网，尤其涉及一种面向工业控制系统认证和数据交互的方法、系统及终端。

背景技术：

1、目前，工业互联网的不断发展促使工业控制系统与互联网之前的联系越来越密切，it网络与ot网络已逐渐开始融合。如今的工业控制系统已经暴露在网络攻击的威胁之下，无论国内还是国外对于工业控制系统的攻击频频发生。现有的工业控制系统中的企业区的互联网设备与工业区设备通过dmz区进行数据交互，恶意攻击容易导致dmz区的安全机制被破坏，从而导致工业区设备被攻击。因此，亟需设计一种新的工业控制系统认证和数据交互方法。

2、通过上述分析，现有技术存在的问题及缺陷为：工业网络与企业网络在通信时，容易被攻击者攻击；现有工业控制系统缺乏对申请访问端进行完善且复杂的身份认证，对数据的安全交换算法不够复杂，密钥更新不及时容易被攻击者有机可乘。

技术实现思路

1、针对现有技术存在的问题，本发明提供了一种面向工业控制系统认证和数据交互的方法、系统、设备及终端。

2、本发明是这样实现的，一种面向工业控制系统认证和数据交互的方法，所述面向工业控制系统认证和数据交互的方法包括：在企业网络和工业控制网络在通信时建立访问控制机制，同时建立企业以及工业端的可信设备列表，以可信设备列表为细粒度访问策略以及双重身份验证策略，并以三级密钥体系、动态密钥、专钥专用、国产加密算法及数字签名技术相结合的方式实现工业控制系统的设备认证以及安全的数据交互。

3、进一步，所述面向工业控制系统认证和数据交互的方法还包括：企业区设备首次认证时工业安全认证系统确保请求访问的设备是可信的，并给企业区设备颁发密钥k1；二次认证时，企业区设备生成会话密钥k2，工业安全认证系统对数字签名进行验签，确保颁发的密钥k1是否有效，同时验证企业区设备是否可信；通过验证后工业安全认证系统将指令转发给相应的工业区设备，得到返回数据后使用会话密钥k2进行加密，并对原始数据计算摘要生成数字签名后再发送给企业区设备；企业区设备接收到数据后进行解密，得到原始数据后做摘要；对数字签名进行验签，若相同则数据有效，若不同则数据无效。

4、进一步，所述面向工业控制系统认证和数据交互的方法具体包括以下步骤：

5、步骤一，工业安全认证系统初始化时，建立一个客户端信任列表以及设备信任列表，企业区设备预置工业区设备指纹以及设备信息；

6、步骤二，企业区客户端使用工业安全认证系统的公钥对原始数据进行加密，并对原始数据做摘要生成数字签名后，发送给工业安全认证系统；

7、步骤三，工业安全认证系统在接收到数据包后使用私钥对数据进行解密并验证数字签名；若有效且设备信息合法，则授权访问并返回密钥k1并临时存储在本地；

8、步骤四，企业区设备生成会话密钥k2，使用密钥k2对原始数据加密得到密文数据p1；对原始数据做摘要并使用私钥进行加密，生成数字签名；使用密钥k1对会话密钥k2加密后再使用工业安全认证系统的公钥加密得到密文数据p2，并发送给工业安全认证系统；

9、步骤五，工业安全认证系统使用私钥解密密文数据p2得到中间密文，再使用密钥k1解密得到会话密钥k2；使用k2解密密文数据p1；验证数字签名，并判断目标设备是否合法，最后丢弃密钥k1；

10、步骤六，工业安全认证系统将指令数据转发给相应的工业区设备，工业区设备根据指令计算的到数据返回给工业安全认证系统；

11、步骤七，工业安全认证系统使用会话密钥k2对设备返回原始数据进行加密，并对原始数据做摘要生成数字签名，最后丢弃k2；

12、步骤八，企业区设备使用密钥k2对密文数据进行解密的到原始数据，并对原始数据做摘要；对数字签名验签，如果相同则数据有效，若不同则丢弃。

13、进一步，步骤一中的客户端信任列表为企业区，设备信任列表为工业区；

14、进一步，步骤一中的工业安全认证系统初始化包括：

15、(1)ics企业区的每一台与工业区进行数据交互的设备创建公私钥对；

16、(2)工业安全认证系统创建自身的公私钥对，为企业区的设备生成设备指纹，并存储在对应设备中；

17、(3)工业安全认证系统建立自身的企业区设备信任列表，信任列表存储的是键值对，键是企业区设备的设备指纹，值对应设备的公钥以及访问次数；

18、(4)工业安全认证系统建立自身的工业区设备信任列表，信任列表存储的是信任列表存储的是键值对，键是工业区设备的设备指纹，值对应设备信息；

19、(5)企业区设备预置可访问的工业区设备指纹及设备信息。

20、进一步，步骤二中的原始数据包括访问设备指纹和访问次数。

21、进一步，步骤三中的设备信息包括设备指纹和访问次数。

22、进一步，步骤四中的原始数据包括目标设备指纹和指令数据。

23、进一步，工业控制系统认证方法包括：

24、(1)企业区设备使用工业安全认证系统的公钥对设备信息使用sm2加密算法进行加密得到加密数据，并使用sm3加密算法得到原始数据的摘要信息m1；使用私钥进行签名，发送给工业安全认证系统；

25、(2)工业安全认证系统接收到加密数据之后，使用自身的私钥对数据进行解密得到原始数据，并使用sm3算法对原始数据做摘要信息m2；对比摘要信息m1与m2，如果不同则丢弃此次请求，若相同则去自身的企业区设备信任列表查找设备的信息以及访问次数，并获取到该设备的公钥；若存在且合法则根据a端设备指纹、访问次数、时间戳和随机数拼接生成密钥k1，若不存在则丢弃请求；使用企业区设备公钥对密钥k1做sm4加密后返回给企业区，最后密钥k1并临时存储在工业安全认证系统本地；

26、(3)企业区设备接收到返回的密钥密文数据之后证明已经建立连接，使用私钥对密文数据进行解密得到密钥k1，根据自身设备指纹、c端目标设备指纹、访问次数、时间戳和随机数拼接生成会话密钥k2；使用密钥k2对原始数据做sm4加密得到密文数据p1，并对原始数据做sm3加密得到摘要信息后，仅用私钥进行签名；使用密钥k1对会话密钥做sm4加密，再使用工业安全认证系统的公钥做sm2加密得到密文数据p2，最后将密文数据p1以及p2发送给工业安全认证系统；

27、(4)工业安全认证系统接收到加密数据后，使用本身的私钥对密文数据p2进行解密得到中间数据，再使用密钥k1对中间数据解密得到会话密钥k2；使用会话密钥解密密文数据p1，得到目标设备指纹以及指令数据；对数字签名进行验签，校验目标设备是否合法，最后丢弃密钥k1；

28、(5)工业安全认证系统在认证成功后，系统将请求指令转发给企业区设备申请访问的工业区设备；工业区设备接收到指令后返回原始数据给工业安全认证系统，工业安全认证系统使用约定好的会话密钥k2对原始数据进行sm4加密得到密文数据p3；对原始数据使用sm3加密算法计算得到消息摘要m6，并对消息摘要使用私钥进行签名，返回给企业区设备并丢弃会话密钥k2；

29、(6)企业区设备接收到密文数据后，使用会话密钥k2对密文数据p3进行解密得到原始数据pp2，并对原始数据做sm3加密算法得到摘要信息m7；对数字签名进行验签，若签名不合法则丢弃，若合法则原始数据pp2可用。

30、进一步，步骤(1)中的公钥对设备信息包括自身设备指纹和访问次数。

31、进一步，步骤(2)中的原始数据包括设备指纹和访问次数。

32、进一步，步骤(3)中的原始数据包括c端目标设备指纹和指令数据。

33、进一步，步骤(4)中的校验目标设备是否合法为：根据目标设备指纹在工业区设备信任列表中匹配。

34、本发明的另一目的在于提供一种应用所述的面向工业控制系统认证和数据交互的方法的面向工业控制系统认证和数据交互的系统，面向工业控制系统认证和数据交互的系统包括：

35、初始化模块，用于对工业控制系统企业区的设备创建公私钥对；

36、设备指纹创建模块，用于利用工业安全认证系统为设备创建设备指纹；

37、设备信任列表创建模块，用于利用工业安全认证系统分别建立自身的企业区设备信任列表以及工业区设备信任列表；

38、设备认证以及数据交互模块，用于采用三级密钥体系、动态密钥、专钥专用、国产加密算法、数字签名技术与设备信任列表相结合的方式，实现工业控制系统的设备认证以及数据交互。

39、本发明的另一目的在于提供一种计算机设备，计算机设备包括存储器和处理器，存储器存储有计算机程序，计算机程序被处理器执行时，使得处理器执行所述的面向工业控制系统认证和数据交互的方法的步骤。

40、本发明的另一目的在于提供一种信息数据处理终端，信息数据处理终端用于实现所述的面向工业控制系统认证和数据交互的系统。

41、结合上述的技术方案和解决的技术问题，本发明所要保护的技术方案所具备的优点及积极效果为：

42、第一，针对上述现有技术存在的技术问题以及解决该问题的难度，紧密结合本发明的所要保护的技术方案以及研发过程中结果和数据等，详细、深刻地分析本发明技术方案如何解决的技术问题，解决问题之后带来的一些具备创造性的技术效果。具体描述如下：

43、本发明提供了一种面向工业控制系统认证和数据交互的系统及方法，使用了先认证后连接的方式，保证通信双方都是经过认证且可信的设备，实现it与ot之间的信息共享。避免了企业区与工业设备区进行直接的网络访问，且工业区设备仅会通过本系统与外界建立通信，为易受攻击的工业区提供了高级别的防护，完成数据的安全传输。本发明在认证阶段采用对称加密和非对称加密相结合的方式，提高了设备数据加密及解密的性能并保证了传输数据的机密性；采用了数字摘要的单向不可逆性，保证了数据的完整性和可用性。

44、本发明的面向工业控制系统认证和数据交互方法使用了先认证后连接的方式，保证通信双方都是经过认证且可信的设备，实现it与ot之间安全的信息共享。本发明避免了企业区与工业设备区进行直接的网络访问，且工业区设备仅会通过本系统与外界建立通信，为易受攻击的工业区提供了高级别的防护，并且保证了数据的可用性、安全性和完整性，完成数据的安全传输。

45、本发明融合了三级密钥体系、动态密钥、专钥专用、国产加密算法，数字签名技术，双重认证对双方设备提供了可靠的通信环境，保证通信双方都是可信的，对交互数据提供可用性、完整性校验，具体体现为：

46、(1)数据机密性：使用国产加密算法以及三级密钥体系对设备数据进行加密，保证设备数据在传输过程中的机密性。即使攻击者获得了密钥，密钥也是动态改变的，工业安全认证系统每次颁发的密钥只能使用一次，在加密设备数据返回给企业区之后会丢弃该密钥。攻击者无法根据旧的密钥推算出新的密钥。

47、(2)双重认证：第一次认证确保请求设备是否合法，第二次确定目标设备是否合法。

48、(3)身份鉴别：使用数字签名技术加工业安全认证系统内置企业区设备信任列表保证请求方是可信的设备。

49、(4)避免外部访问设备直接与工业区设备建立通信：工业区设备与外部建立通信必须经过工业安全认证系统。

50、(5)数据的可用性和完整性，使用sm3加密算法来保证数据的完整性和可用性，即使攻击者篡改了传输数据，企业区设备以及工业安全认证系统也可以通过校验消息摘要来判断数据是否被篡改。

51、第二，把技术方案看做一个整体或者从产品的角度，本发明所要保护的技术方案具备的技术效果和优点，具体描述如下：

52、本发明提供的面向工业控制系统认证和数据交互的方法，主要包括ics(工业控制系统)企业区在与工业区通信前的认证方式，基于多项安全技术实现了ics的企业区与工业区安全访问与数据交互，可在工业控制系统领域应用。

53、本发明提供的面向工业控制系统认证和数据交互的方法，主要包括ics(工业控制系统)企业区在与工业区通信前的认证方式，基于以设备信任列表为核心的细粒度访问策略以及双重身份验证策略，并以三级密钥体系、动态密钥、专钥专用、国产加密算法、数字签名技术相结合的方式，实现了ics的企业区与工业区安全访问与数据交互，可在工业控制系统领域应用。工业安全认证系统不仅对外网隐藏了工业区设备，加上双重认证机制以及数据加密时采用了三级密钥体系极大程度上可以保护工业区设备的安全运行以及数据安全。优点：动态密钥以及三层密钥体系避免了双方在通信时密钥被窃取或

54、第三，作为本发明的权利要求的创造性辅助证据，还体现在以下重要方面：

55、本发明的技术方案转化后的预期收益和商业价值为：本发明对于需要访问设备都必须经过严格认证。对于数据的传输使用复杂的加密手段，攻击者就算窃取了密钥，该密钥也无法使用更无法推算出新的密钥可以极大程度上可以保护工业区设备的安全运行以及数据安全。